Sophos Central Integration Credential Manager beheren
Integration Credential Manager beheert credentials voor producten van derden die Sophos Central in integraties gebruikt, bijvoorbeeld API-tokens of accounts voor Data Ingestion en Response Actions.
Verwar dit niet met API Credentials. Daarmee krijgt een externe applicatie toegang tot Sophos Central; Credential Manager bewaart juist gegevens waarmee Central een extern product benadert.
Wanneer Credential Manager passend is
Maak hier een credential aan wanneer een ondersteunde Sophos-integratie toegang tot een extern product nodig heeft en dit credentialtype in Central beschikbaar is. De manager kan credentials voor meerdere gelijksoortige integraties hergebruiken en toont status, laatste gebruik, rechten en gekoppelde integraties.
Niet ieder willekeurig secrettype kan hier worden opgeslagen. Voor niet-ondersteunde integraties blijft de centrale bedrijfsbrede secret store leidend.
Rechten vooraf plannen
Leg vóór aanmaak vast:
- extern product en doelinstantie,
- toegestane lees- en schrijfacties,
- Sophos-functies die toegang krijgen,
- technische eigenaar en noodcontact,
- vervaldatum en rotatieprocedure,
- inactiviteitslimiet,
- test en rollback.
Geef alleen schrijfrechten als Response Actions werkelijk nodig en ook in het externe product beperkt zijn. Een alleen-lezen telemetrie-integratie heeft geen wijzigingsrechten nodig.
Een credential aanmaken
Ga naar Global Settings > Access Control > Integration Credential Manager. Kies Add, selecteer bij Type een ondersteund type zoals Okta API Token en kies Next.
Vul bij Details naam en beschrijving in, kies Read of Write en selecteer onder Integrations with Access alleen de benodigde Sophos-functies, bijvoorbeeld Data Ingestion of Response Action. Stel desgewenst Inactivity limit en, wanneer dit type het ondersteunt, Expiration date in. Beoordeel rechts de beveiligingsgevolgen onder Vendor and Product documentation and disclaimer en accepteer de verklaring bewust.
Wanneer de disclaimer op Details nog niet is bevestigd, biedt Central deze bevestiging op de volgende pagina opnieuw aan. Zonder bewuste bevestiging wordt de credential niet productief vrijgegeven; deze extra dialoog vervangt de interne beoordeling van de toegang tot het externe product niet.
Voer op Credential de door het externe product vereiste waarden in, in het Okta-voorbeeld de URL en API Token. Gebruik waarden uit de eigen productconfiguratie en nooit uit een vreemd voorbeeld. Save maakt de credential aan. Controleer daarna de afhankelijke integratie, status, Usage en een testevent. Een ondersteunde integratie kan tijdens haar configuratie ook een credential met standaardrechten aanmaken; beperk die daarna verder in de manager.
Geef ook het externe account zelf Least Privilege. Een beperkte instelling in Central compenseert geen account met te ruime rechten in het externe product.
Status en gebruik bewaken
Central toont afhankelijk van het type:
- Healthy, Partially healthy of Unhealthy,
- een streepje en Awaiting usage als de credential nog nooit is gebruikt,
- laatste gebruik,
- gebruikte integraties,
- rechten en type,
- waarschuwingen vóór opschorting of purge.
Een groene status bewijst alleen technisch gebruik, niet volledige gegevenslevering of correcte zakelijke werking. Controleer testevent, tijdstip en resultaat in het doelsysteem.
Onder Usage staan aantal en tijdstip van de requests. Logs bevat alleen de 250 recentste events en kan op status, integratietype en periode worden gefilterd. Neem relevante fouten daarom vóór overschrijving op in de operationele monitoring of een supportcase wanneer langere traceerbaarheid nodig is.
Een credential wijzigen, opschorten of verwijderen
Open onder Global Settings > Access Control > Integration Credential Manager de credentialnaam en kies Actions > Edit. Central toont dezelfde configuratiepagina’s als bij het aanmaken. Op Details kunnen naam, beschrijving, rechten, integratietoegang, inactiviteitslimiet en eventueel de vervaldatum worden gewijzigd; op Credential worden de eigenlijke externe waarden vervangen. Controleer na het opslaan status, Usage en werking van alle onder Used by vermelde integraties.
Selecteer voor een handmatige blokkering de credential, kies Actions > Suspend en bevestig de gebruikswaarschuwing opnieuw. Dit is zinvol bij een vermoedelijke compromittering of gecontroleerde foutanalyse, maar stopt data- en responsegebruik van alle afhankelijke integraties. Actions > Unsuspend activeert de credential opnieuw en zet de inactiviteitsperiode terug naar zes maanden of de ingestelde waarde.
Migreer vóór Actions > Delete alle afhankelijkheden en bevestig daarna pas de waarschuwing. Verwijderen in Central trekt het externe account of token niet automatisch in; verwijder of roteer de toegang ook in het externe product.
Inactiviteit, opschorting en purge
Standaard wordt een credential na zes maanden of 180 dagen inactiviteit opgeschort en na één jaar verwijderd. Onder Actions > Edit > Inactivity limit kan bijvoorbeeld opschorting na één jaar en een purge na twee jaar worden gekozen. Een wijziging start de nieuwe periode direct en verwijdert bestaande waarschuwingen.
Controleer vóór verlenging van de inactiviteitslimiet of de integratie nog nodig is. Een zelden gebruikte noodactie vereist een gedocumenteerde functietest en niet eenvoudigweg een onbeperkt secret.
Central waarschuwt 90 dagen vóór opschorting en 90, 60, 30 en 7 dagen vóór purge. Deze meldingen worden alleen betrouwbaar bezorgd wanneer passende e-mailalertregels voor Credential Manager bestaan.
Met Actions > Reset inactivity limit wordt de resterende inactiviteitsperiode teruggezet naar zes maanden of de geconfigureerde waarde. Actions > Unsuspend activeert een opgeschorte credential opnieuw en start dezelfde periode opnieuw. Controleer vooraf het externe secret, de rechten en alle afhankelijke integraties; Unsuspend repareert geen verlopen of ingetrokken token.
Een handmatige opschorting stopt de gegevensoverdracht van alle gebruikende integraties. Een purge of verwijdering kan meerdere integraties blijvend onderbreken wanneer de credential wordt hergebruikt.
Roteren zonder datagat
Gebruik voor secrets die in het externe product kunnen worden geroteerd een onderhoudsvenster:
- Noteer afhankelijke integraties en laatste gebruik.
- Genereer een nieuw extern secret.
- Werk de Central-credential bij.
- Controleer status en testevent.
- Trek het oude secret extern in.
- Controleer audit- en integratielogs.
Gebruik bij ondersteuning kort twee parallelle secrets; plan anders een bewaakt datagat.
Veelvoorkomende problemen
Status blijft Awaiting usage
De credential is niet aan een actieve integratie gekoppeld, de integratie draaide nog niet of gebruikt een andere set. Controleer toewijzing en testevent.
Credential is healthy, maar gegevens ontbreken
Controleer periode, bron, integratie, filters en externe rechten. Health bevestigt geen verwacht volume.
Rotatie onderbreekt meerdere integraties
De credential wordt hergebruikt. Identificeer alle afhankelijkheden onder Used by en test ze samen.
Delete waarschuwt voor mogelijk gebruik
Negeer de waarschuwing niet. Migreer of verwijder elke gekoppelde integratie eerst.